基于DPI和DFI相結(jié)合的業(yè)務(wù)識(shí)別系統(tǒng)中的樣本獲取技術(shù)設(shè)計(jì).pdf

1、隨著千兆網(wǎng)絡(luò)時(shí)代的到來，傳統(tǒng)的報(bào)文捕獲機(jī)制已經(jīng)成為整個(gè)系統(tǒng)的性能瓶頸。最近幾年，點(diǎn)對(duì)點(diǎn)（Peer-to-Pecr，P2P）應(yīng)用的快速增長(zhǎng)，極大地消耗了有限的網(wǎng)絡(luò)資源，是導(dǎo)致網(wǎng)絡(luò)帶寬不夠用的主要原因，如何對(duì)P2P流量進(jìn)行有效的識(shí)別和控制就顯得相當(dāng)重要了。為了能夠在高速網(wǎng)絡(luò)中可以迅速地捕獲數(shù)據(jù)包并對(duì)其進(jìn)行有效分析和準(zhǔn)確識(shí)別，需要對(duì)現(xiàn)有的數(shù)據(jù)包捕獲技術(shù)和網(wǎng)絡(luò)流量分類識(shí)別系統(tǒng)進(jìn)行重新的設(shè)計(jì)和定位，而基于機(jī)器自學(xué)習(xí)的深度流檢測(cè)（Deep Flow

2、 Inspection，DFI）系統(tǒng)可以有效的識(shí)別出采用動(dòng)態(tài)端口和加密協(xié)議的網(wǎng)絡(luò)流。DFI分類識(shí)別系統(tǒng)對(duì)網(wǎng)絡(luò)流的識(shí)別準(zhǔn)確率主要取決于它的學(xué)習(xí)和訓(xùn)練樣本，因此本文主要研究如何在高速網(wǎng)絡(luò)中獲得有效的網(wǎng)絡(luò)流量特征數(shù)據(jù)集，并對(duì)其進(jìn)行有效的特征選擇，去除冗余和類別標(biāo)簽不相關(guān)的特征，達(dá)到降低向量的空間維度和計(jì)算復(fù)雜度，提高DFI系統(tǒng)的分類準(zhǔn)確率。具體研究?jī)?nèi)容和主要工作如下：
　　 研究了基于深度包檢測(cè)（Deep Packet Inspect

3、ion，DPI）和DFI的流量識(shí)別技術(shù)。首先論述了DPI的工作原理、主要實(shí)現(xiàn)技術(shù)和系統(tǒng)的主要功能。其次研究并闡述了支持向量機(jī)（SupportVector Machine，SVM）及機(jī)器學(xué)習(xí)的基本原理和如何用SVM進(jìn)行分類。最后得到了DFI流量識(shí)別的基本方法。
　　 研究了基于Linux的底層數(shù)據(jù)包捕獲系統(tǒng)。首先詳細(xì)論述了Linux的內(nèi)核模塊機(jī)制和傳統(tǒng)的數(shù)據(jù)包捕獲方法。其次提出了千兆網(wǎng)絡(luò)環(huán)境下高速捕獲數(shù)據(jù)包的方法和系統(tǒng)框架，該系統(tǒng)

4、主要涉及三個(gè)部分：修改的網(wǎng)卡驅(qū)動(dòng)程序、構(gòu)建虛擬用戶捕獲設(shè)備（Virtual User KernelModule，VUKM）模塊和協(xié)議分析接口。修改的網(wǎng)卡驅(qū)動(dòng)主要使到達(dá)網(wǎng)卡的數(shù)據(jù)包繞過內(nèi)核的協(xié)議棧，轉(zhuǎn)交給VUKM模塊處理；VUKM模塊作用是實(shí)現(xiàn)用戶空間的應(yīng)用程序和內(nèi)核空間的程序共享內(nèi)存；協(xié)議分析接口提供上層協(xié)議分析子系統(tǒng)與底層數(shù)據(jù)捕獲系統(tǒng)的接口，為上層應(yīng)用程序和網(wǎng)卡無沖突地訪問VUKM模塊提供一種機(jī)制。最后得到通過網(wǎng)卡并由底層數(shù)據(jù)包捕獲系

5、統(tǒng)捕獲的原始數(shù)據(jù)包。
　　 研究了DFI的樣本獲取。首先研究了特征選擇的基本理論。其次給出了對(duì)數(shù)據(jù)特征集進(jìn)行處理的方法，設(shè)計(jì)了Filter模塊和Wrapper模塊?；赗eliefF算法的Filter模塊可以處理多類分類問題和去除大量不相關(guān)的特征，基于SFS算法的Wrapper模塊，可以有效的選擇出DFI分類器需要的樣本。最后得到了DFI訓(xùn)練和學(xué)習(xí)需要的最優(yōu)特征集。
　　 文章最后在OfficeTen3800的硬件平臺(tái)下